一種管理設備訪問權限的方法、裝置和系統與流程

2023-06-03 02:31:58

本申請要求於2016年11月14日提交中國專利局、申請號為201611019375.8，發明名稱為「一種管理設備訪問權限的方法、裝置和系統」的中國專利申請的優先權，其全部內容通過引用結合在本申請中。

本發明涉及計算機信息技術領域，尤其涉及一種管理設備訪問權限的方法、裝置和系統。

背景技術：

網際網路用戶通常會有多個應用和多個帳戶使用，多個應用和帳戶在不同的應用程式或者主機中存在；一般對於終端用戶來講，所擁有的計算機設備是有限的幾個，通常是頻繁使用的如家用電腦，筆記本電腦，平板電腦，智慧型手機等；通常這些設備都用來訪問主人用戶的各種應用及帳戶的服務。如目前個人網際網路帳戶可以授權到用戶的某一個計算機設備，如果有第二個設備需要方便的使用，用戶為了保證安全，用戶需要再次授權第二個設備；如果有多個帳戶需要授權時，每個帳戶都需要用同樣的方式再做一遍，這樣用戶的帳戶與設備之間的授權關係不斷增加，人們就很難記得哪些應用及帳戶在哪些設備上被授權訪問權限了，不宜管理也不方便，需要一種簡單，便捷的技術方法，在安全架構下工作的多應用，多帳戶，多設備授權管理技術來解決問題。

一般商業計算使用壽命是5年左右，智慧型手機由於電池等的影響，3年左右就需要更換，在用戶終端設備置換的過程中，就需要把舊的用戶終端的應用及帳戶的授權關係刪除。在新的設備上需要提供給用戶一個方便的，安全的應用用戶遷移方案，在遷移的過程中保證新的計算設備安全工作，同時需要去除廢棄的手機上授權關係，目前有部分服務提供商可以對自己服務的帳戶權限通過網頁登錄進行設備與應用帳戶關係的管理，但是沒有通用的對於單個用戶多應用及帳戶和多設備，之間的授權關係的管理；同時為了保證安全性，使用的步驟較多，易用性差，需要一種更安全易用的技術管理用戶的多應用帳戶與多訪問設備之間的關係。

技術實現要素：

為實現本發明之目的，採用以下技術方案予以實現：

一種管理設備訪問權限的系統，包括第一設備和安全服務端，其中：

所述第一設備用於接收第二設備發出的請求註冊為第一設備的從屬設備的從屬設備註冊消息，通過所述第一設備對該從屬設備註冊消息確認後向安全服務端發送從屬設備註冊前向消息；

所述安全服務端用於接收該註冊前向消息，並對該註冊前向消息進行驗證，驗證通過後所述安全服務端將第二設備設置為第一設備的從屬設備。

所述的系統，其中，當第二設備訪問應用和/或帳戶時，安全服務端對該第二設備的訪問權限進行驗證，如果該第二設備具備訪問所述應用和/或帳戶的權限，則安全服務端對該第二設備對所述應用和/或帳戶進行訪問的驗證項判定為通過，允許應用和/或帳戶訪問或者繼續後續驗證，如果該第二設備不具備該權限，則拒絕該第二設備對所述應用和/或帳戶的訪問。

所述的系統，其中：所述第一設備具有第一密鑰，安全服務端具有與第一密鑰對應的第二密鑰，所述第一設備和安全服務端都具有用於匹配第一密鑰和第二密鑰的第一識別id；所述第二設備具有第三密鑰，所述安全服務端具有對應於第三密鑰的第四密鑰，所述第二設備和安全服務端都具有用於匹配第三密鑰和第四密鑰的第二識別id。

所述的系統，其中：所述從屬設備註冊消息包括消息體和消息憑證，所述消息體包括第二識別id和同步提示信息，所述消息憑證是使用第三密鑰為所述消息體計算得出的憑證；

所述第一設備對所述同步提示信息選擇確認後，所述第一設備產生從屬設備註冊前向消息並發送給所述安全服務端，所述從屬設備註冊前向消息包括消息體和第一密鑰為該消息體計算的憑證，所述消息體包括第一識別id和所述從屬設備註冊消息；

所述安全服務端接收到所述從屬設備註冊前向消息後，使用第一識別id找到第二密鑰，使用第二密鑰驗證所述從屬設備註冊前向消息的憑證，如果通過，使用所述從屬設備註冊消息中的第二識別id查找第四密鑰，使用第四密鑰計算所述從屬設備註冊消息的憑證，如果驗證通過，則所述安全服務端將第二設備設置為第一設備的從屬設備。

所述的系統，其中：所述安全服務端將第二設備設置為第一設備的從屬設備後還產生從屬設備註冊確認消息，所述從屬設備註冊確認消息至少包括第二識別id和安全服務端使用私鑰為第二識別id產生的籤名；所述安全服務端將所述從屬設備註冊確認消息發送給第一設備。

所述的系統，其中：所述第一設備接收到所述從屬設備註冊確認消息後，使用安全服務端公鑰驗證消息籤名；驗證通過後，所述第一設備將第二識別id加入從屬設備名單中。

所述的系統，其中：所述第一設備還用於為其從屬設備配置訪問應用和/或帳戶權限，並將從屬設備應用和/或帳戶配置消息發送給安全服務端；所述安全服務端保存該從屬設備應用和/或帳戶配置消息，並根據該應用和/或帳戶配置消息內容管理從屬設備訪問相應的應用和/或帳戶的權限。

所述的系統，其中：所述從屬設備應用和/或帳戶配置消息包括消息體和消息憑證，所述消息體包括配置的應用和/或帳戶信息，所述第二識別id和所述第一識別id；所述消息憑證是使用第一密鑰對所述消息體計算產生的。

所述的系統，其中：

所述安全服務端收到所述從屬設備應用和/或帳戶配置消息後，使用第一識別id查找第二密鑰，使用第二密鑰驗證所述從屬設備應用和/或帳戶配置消息憑證，如果驗證通過，檢查第二識別id對應的第二設備是否為第一設備的從屬設備；如果是從屬設備，檢查第一設備是否具有配置消息中包括的應用和/或帳戶的根設備權限；如果消息中包括的配置的應用和/或帳戶是第一設備所管理的項目，所述安全服務端執行配置操作，將消息中要求的應用和/或帳戶為從屬設備添加或者刪除；所述安全服務端產生所述從屬設備應用和/或帳戶配置發布消息；當配置操作是刪除從屬設備時，刪除從屬設備由第一設備配置的應用和/或帳戶，然後刪除第二設備與第一設備的從屬設備關係；所述安全服務端發送從屬設備應用和/或帳戶配置確認消息通知第一設備完成配置操作。

所述的系統，其中：

所述安全服務端將所述從屬設備應用和/或帳戶配置發布消息發送給第二設備；所述從屬設備應用和/或帳戶配置發布消息包括消息體和使用所述安全服務端私鑰計算的消息籤名，所述消息體包括配置應用和/或帳戶信息，第二識別id和第一識別id。

所述的系統，其中：所述安全服務端對該第二設備的訪問權限進行驗證的方式為：安全服務端查詢其本地是否保存有所述應用和/或帳戶與第二設備之間的對應關係，如果有，則該第二設備對所述應用和/或帳戶的訪問判定選項判定為通過，允許應用和/或帳戶訪問或者繼續驗證其他判定選項，否則拒絕該第二設備對所述應用和/或帳戶的訪問。

一種管理設備訪問權限的安全服務端，包括通信模塊、處理模塊和存儲模塊，其中：

所述通信模塊用於接收所述第一設備對第二設備請求註冊為第一設備的從屬設備的註冊消息進行確認後向安全服務端發送的從屬設備註冊前向消息；

所述處理模塊用於對該註冊前向消息進行驗證，驗證通過後所述處理模塊將第二設備設置為第一設備的從屬設備，並將該設置信息存儲在存儲模塊中。

所述的安全服務端，其中，當第二設備訪問應用和/或帳戶時，處理模塊對該第二設備的訪問權限進行驗證，如果該第二設備具備訪問所述應用和/或帳戶的權限，則處理模塊對該第二設備對所述應用和/或帳戶的訪問判定選項判定為通過，允許應用和/或帳戶訪問或者繼續驗證其他判定選項，如果該第二設備不具備該權限，則拒絕該第二設備對所述應用和/或帳戶的訪問。

所述的安全服務端，其中：所述第一設備具有第一密鑰，安全服務端的存儲模塊具有與第一密鑰對應的第二密鑰，所述第一設備和安全服務端的存儲模塊都具有用於匹配第一密鑰和第二密鑰的第一識別id；所述第二設備具有第三密鑰，所述安全服務端的存儲模塊具有對應於第三密鑰的第四密鑰，所述第二設備和安全服務端的存儲模塊都具有用於匹配第三密鑰和第四密鑰的第二識別id。

所述的安全服務端，其中：所述從屬設備註冊消息包括消息體和消息憑證，所述消息體包括第二識別id和同步提示信息，所述消息憑證是使用第三密鑰為所述消息體計算得出的憑證；

所述第一設備對所述同步提示信息選擇確認後，產生從屬設備註冊前向消息並發送給所述安全服務端的通信模塊，所述從屬設備註冊前向消息包括消息體和第一密鑰為該消息體計算的憑證，所述消息體包括第一識別id和所述從屬設備註冊消息；

所述通信模塊接收到所述從屬設備註冊前向消息後，處理模塊使用第一識別id找到第二密鑰，使用第二密鑰驗證所述從屬設備註冊前向消息的憑證，如果通過，使用所述從屬設備註冊消息中的第二識別id查找第四密鑰，使用第四密鑰計算所述從屬設備註冊消息的憑證，如果驗證通過，則所述處理模塊將第二設備設置為第一設備的從屬設備，並將該設置信息保存在存儲模塊中。

所述的安全服務端，其中：所述處理模塊將第二設備設置為第一設備的從屬設備後還產生從屬設備註冊確認消息，所述從屬設備註冊確認消息至少包括第二識別id和安全服務端使用私鑰為消息產生的籤名；所述處理模塊將所述從屬設備註冊確認消息通過通信模塊發送給第一設備。

所述的安全服務端，其中：所述第一設備還用於為其從屬設備配置訪問應用和/或帳戶權限，並將從屬設備應用和/或帳戶配置消息發送給安全服務端的通信模塊；所述存儲模塊保存該從屬設備應用和/或帳戶配置消息，所述處理模塊根據該應用和/或帳戶配置消息內容管理從屬設備訪問相應的應用和/或帳戶的權限。

所述的安全服務端，其中：所述從屬設備應用和/或帳戶配置消息包括消息體和消息憑證，所述消息體包括配置的應用和/或帳戶信息，所述第二識別id和所述第一識別id；所述消息憑證是使用第一密鑰對所述消息體計算產生的。

所述的安全服務端，其中：

所述安全服務端的通信模塊收到所述從屬設備應用和/或帳戶配置消息後，處理模塊使用第一識別id查找第二密鑰，使用第二密鑰驗證所述從屬設備應用和/或帳戶配置消息憑證，如果驗證通過，檢查第二識別id對應的第二設備是否為第一設備的從屬設備；如果是從屬設備，檢查第一設備是否具有配置消息中包括的應用和/或帳戶的根設備權限；如果消息中包括的配置的應用和/或帳戶是第一設備所管理的項目，所述處理模塊執行配置操作，將消息中要求的應用和/或帳戶為從屬設備添加或者刪除，並將相關配置信息保存在存儲模塊中；所述處理模塊產生所述從屬設備應用和/或帳戶配置發布消息；當配置操作是刪除從屬設備時，處理模塊刪除從屬設備由第一設備配置的應用和/或帳戶，然後刪除第二設備與第一設備的從屬設備關係。

所述的安全服務端，其中：

所述安全服務端的通信模塊將所述從屬設備應用和/或帳戶配置發布消息發送給第二設備；所述從屬設備應用和/或帳戶配置發布消息包括消息體和使用所述安全服務端私鑰計算的消息籤名，所述消息體包括配置應用和/或帳戶信息，第二識別id和第一識別id。

所述的安全服務端，其中：處理模塊對該第二設備的訪問權限進行驗證的方式為：處理模塊查詢存儲模塊是否保存有所述應用和/或帳戶與第二設備之間的對應關係，如果有，則該第二設備對所述應用和/或帳戶的訪問判定選項判定為通過，允許應用和/或帳戶訪問或者繼續驗證其他判定選項，否則拒絕該第二設備對所述應用和/或帳戶的訪問。

一種用於管理訪問權限的設備，包括通信模塊、處理模塊和存儲模塊，其中：

所述通信模塊用於接收第二設備發出的請求註冊為所述設備的從屬設備的從屬設備註冊消息，所述處理模塊用於對該從屬設備註冊消息進行確認，確認後通過所述通信模塊向安全服務端發送從屬設備註冊前向消息；

所述通信模塊還用於接收所述安全服務端將第二設備設置為第一設備的從屬設備後產生的從屬設備註冊確認消息，所述從屬設備註冊確認消息至少包括第二識別id和安全服務端使用私鑰為消息產生的籤名；

所述存儲模塊用於保存所述從屬設備註冊確認消息處理後的結果。

所述的設備，其中：所述存儲模塊保存有第一密鑰和關聯的第一識別id，管理的從屬設備信息，為第一設備和第二設備授權的應用和/或帳戶；安全服務端具有與第一密鑰對應的第二密鑰，所述第一設備的存儲模塊和安全服務端都具有用於匹配第一密鑰和第二密鑰的第一識別id。

所述的系統，其中：所述從屬設備註冊消息包括消息體和消息憑證，所述消息體包括第二識別id和同步提示信息，所述消息憑證是使用第三密鑰為所述消息體計算得出的憑證；

所述處理模塊對所述同步提示信息選擇確認後，產生從屬設備註冊前向消息並通過通信模塊發送給所述安全服務端，所述從屬設備註冊前向消息包括消息體和第一密鑰為該消息體計算的憑證，所述消息體包括第一識別id和所述從屬設備註冊消息；

所述安全服務端接收到所述從屬設備註冊前向消息後，對該註冊前向消息進行驗證，驗證通過後所述安全服務端將第二設備設置為第一設備的從屬設備並產生從屬設備註冊確認消息，所述從屬設備註冊確認消息至少包括第二識別id和安全服務端使用私鑰為消息產生的籤名；所述安全服務端將所述從屬設備註冊確認消息發送給第一設備；

所述通信模塊接收該從屬設備註冊確認消息，所述處理模塊將該消息保存在存儲模塊中。

所述的設備，其中：所述通信模塊接收到所述從屬設備註冊確認消息後，處理模塊使用安全服務端公鑰驗證消息籤名；驗證通過後，所述處理模塊將第二識別id加入存儲模塊的從屬設備名單中。

所述的設備，其中：所述處理模塊還用於為其從屬設備配置訪問應用和/或帳戶權限，並將從屬設備應用和/或帳戶配置消息通過通信模塊發送給安全服務端。

所述的設備，其中：所述從屬設備應用和/或帳戶配置消息包括消息體和消息憑證，所述消息體包括配置的應用和/或帳戶信息，所述第二識別id和所述第一識別id；所述消息憑證是使用第一密鑰對所述消息體計算產生的。

所述的設備，其中：所述設備提供人機界面，用於管理本設備，從屬設備與授權的應用和/或帳戶，該人機界面包括：對應第一識別id的設備，對應第一識別id設備的授權的一個或多個應用名稱和/或帳戶名，如有從屬設備，則包括對應第二識別id的設備，與第二設備對應的授權的一個或多個應用名稱和/或帳戶名。

附圖說明

此處所說明的附圖用來提供對本發明的進一步理解，構成本發明的一部分，本發明的示意性實施例及其說明用於解釋本發明，並不構成對本發明的不當限定。

在附圖中：

圖1為本發明實施例中從屬設備註冊示意圖；

圖2為本發明實施例中從屬設備應用及帳戶配置示意圖；

圖3為本發明實施例中用戶終端功能示意圖；

圖4為本發明安全服務端構成示意圖；

圖5為本發明管理訪問權限的設備構成示意圖。

具體實施方式

為了幫助網際網路用戶管理多設備與多應用及多帳戶關係管理的易用性和安全性，本發明實施例提供了一種多應用及帳戶管理方法及系統。

以下結合說明書附圖對本發明的優選實施例進行說明，應當理解，此處所描述的優選實施例僅用於說明和解釋本發明，並不用於限定本發明，並且在不衝突的情況下，本發明中的實施例及實施例中的特徵可以相互組合。

實施示例1；

如圖1是為本發明實施例中從屬設備註冊示意圖。

本發明管理系統包括用戶終端和安全服務端；所述用戶終端由硬體和作業系統組成，是安全可信客戶端的運行所在；實施中可以使用安全可信客戶端用於用戶管理多應用及帳戶，多設備可信關係管理，包括對單個及多個從屬設備的管理，單個及多個應用及帳戶與單個及多個用戶終端之間的訪問授權關係的管理，操作包括添加，刪除，查看，等行為。

所述根設備是指可以由用戶設定或者由安全服務端選定的具備優先權以配置所述設備，應用，帳戶與多設備授權關係的能力的用戶終端，稱為第一設備；一個根設備可以添加，刪除，查看，一個或多個從屬設備；所述第一設備可以管理一個或多個所述從屬設備與應用及帳戶的授權關係；從屬設備稱為第二設備；所述第一設備與第二設備通過包括但不限於通過設備間直接通信接口通信，包括通過wifi直連,藍牙，usb，攝像頭掃描，音頻，近場通信(nfc)，紅外，乙太網接口，直連光纖接口，直連乙太網接口等中任一選項的接口通信發送和接收所述從屬設備註冊消息，同時可以兼容未來新的無線和物聯網設備間通信接口。

所述安全服務端管理所述用戶終端從屬關係和多設備與多應用帳戶的授權訪問關係；使用應用及帳戶與用戶終端的訪問授權關係在用戶訪問應用及帳戶時作為是否批准帳戶接入的一個必要條件從而保證安全性；所述安全服務端對第二設備的訪問權限進行驗證的方式為：安全服務端查詢其本地是否保存有所述應用及帳戶與第二設備之間的授權對應關係，如果有，則該第二設備設備對所述應用或帳戶的訪問判定選項判定為通過，允許帳戶訪問或者繼續驗證其他要求的判定選項，否則拒絕該第二設備對所述應用或帳戶的訪問；所述需要驗證的其他選項基於運營服務則的配置可以是對應應用及帳戶的密碼，生物識別信息等。

在實施中第二設備向第一設備發送從屬設備註冊消息；實施中第一設備可以是家用移動智慧型手機，使用掃描，如掃描二維碼，或usb，wifi，藍牙，音頻，紅外等通信接口與第二個移動智慧型手機或者家用電腦連接；也可是電腦和另外一臺家用電腦使用乙太網卡連接；可以是兩個智慧型手機通過nfc發送消息；也可以通過藍牙連接發送註冊消息；聲波通信可以用於兩個沒有屏幕的智能設備之間交互發送消息。

在實施中所述安全服務端根據根設備的請求增加或者減少從屬設備。

在實施中所述第一設備被配置為根設備，具備配置為對根設備授權的應用及帳戶，以對從屬第二設備進行授權關係配置；在配置的時候可以配置多個關係，也可以配置一個關係；從屬設備可以有多個；既可以將應用及帳戶添加到第二設備，也可以將已經添加的應用及帳戶在對應的第二設備中刪除；既可以添加從屬設備，也可以將從屬設備從根設備中刪除，其相應的應用及帳戶關係也會被刪除。

實施中，所述第一設備具有第一密鑰，在安全服務端有與第一密鑰對應的第二密鑰；所述第二設備已經註冊到所述安全服務端，本地有第三密鑰，在所述安全服務端有對應於第三密鑰的第四密鑰；所述第一密鑰，第二密鑰，第三密鑰，第四密鑰既可以是對稱密鑰，也可以是公鑰密碼。

實施中，在用戶終端設備和安全服務端之間有第一識別id用於關聯第一密鑰和第二密鑰，當安全服務端在會話中接收第一識別id，安全服務端就是用第一識別id查找對應第二密鑰去驗證；同理在第二設備和安全服務端之間第二識別id用於關聯第三密鑰和第四密鑰，當安全服務端在會話中接收識別id第二識別id，安全服務端就是用第二識別id查找對應的第四密鑰去驗證。

步驟s101第二設備向第一設備發送從屬設備註冊消息。

所述第一設備與第二設備使用包括但不限於攝像頭掃描，藍牙，近場通信(nfc)，紅外，usb，音頻傳輸，光纖接口，乙太網接口，2g/3g/4g/5g無線通信接口等通信方式中接收到第二設備產生的從屬設備註冊請求消息；

所述從屬設備註冊請求消息至少包括由第二設備的識別id，同步提示信息組成的消息體，和使用第三密鑰為所述從屬設備註冊請求消息體計算的籤名或憑證；計算憑證的技術可以是基於公鑰密碼的籤名算法，也可以是基於對稱密鑰的消息認證碼算法；

其中同步提示信息是在第二設備人機界面提示的信息，也可以是約定的其他信息，如記錄在產品手冊上產品型號，標識，或商標處的顯示信息，人機互動中提示的信息類型可以是光電提示，字符，音頻，圖像，視頻等等信息用於讓操作的用戶本人感知到第一設備接收到第二設備發出的所述從屬設備註冊請求消息；第一設備收到所述從屬設備註冊請求消息後將同步提示信息或者行為展示在所述第一設備的人機接口；用戶在所述第一設備人機接口上確認批准第二設備註冊，如點擊確認之後，第一設備產生從屬設備註冊前向消息發送到所述安全服務端。

步驟s102所述第一設備產生從屬設備註冊前向消息發送到所述安全服務端；

所述從屬設備註冊前向消息至少包括從屬設備註冊前向消息體和第一密鑰為從屬設備註冊前向消息體計算的籤名或憑證，所述從屬設備註冊前向消息體至少包括第一識別id和所述從屬設備註冊請求消息。

所述安全服務端收到所述從屬設備註冊前向消息後，使用第一識別id找到第二密鑰，使用第二密鑰驗證所述從屬設備註冊前向消息的憑證，如果通過，使用所述從屬設備註冊消息中的第二識別id查找第四密鑰，使用第四密鑰計算所述從屬設備註冊消息的憑證，如果驗證通過，則所述安全服務端將第二設備設置為第一設備的從屬設備。

步驟s103所述安全服務端產生從屬設備註冊確認消息；所述安全服務端是在驗證所述從屬設備註冊前向消息後產生所述從屬設備註冊確認消息的；

所述安全服務端收到所述從屬設備註冊前向消息後，使用第一識別id查找第二密鑰，使用第二密鑰驗證所述從屬設備註冊前向消息的憑證，如果通過：使用所述從屬設備註冊消息中的第二識別id查找第四密鑰，使用第四密鑰驗證所述從屬設備註冊請求消息的憑證，如果驗證通過，則所述安全服務端將第二設備設置為第一設備的從屬設備；

所述安全服務端產生從屬設備註冊確認消息，所述從屬設備註冊確認消息至少包括第二識別id和安全服務端使用私鑰為所述第二識別id產生的籤名；所述安全服務端將所述從屬設備註冊確認消息發送給第一設備；實施中還可以包括時間戳，隨機數，第一識別id等可選信息用於補充。

第一設備收到所述從屬設備註冊確認消息後，使用安全服務端公鑰驗證消息籤名；驗證通過後，所述第一設備將第二識別id加入主設備的從屬設備名單中；在實施中使用運行在第一設備的安全可信客戶端管理，查看。

實施示例2:

如圖2所示是一種第一設備管理多應用，多帳戶的技術方案；實用中，帳戶是用於網絡登錄身份識別的多種信息的任意組合，包括但不限於註冊的帳號，身份識別信息如身份證號，銀行卡號，聯繫方式及信息等各種信息中一種或多種組合；如第一設備是一部智慧型手機，第二設備是另外一部智慧型手機；第一設備可以一次配置多個應用，帳戶給第二設備；配置操作可以是增加或刪除，選項可以是設備，應用或者帳戶三者中的任意組合；配置選項完成確認後，第一設備產生攜帶從屬設備訪問應用及帳戶權限配置的從屬設備應用及帳戶配置消息，並將從屬設備應用及帳戶配置消息發送給安全服務端；所述安全服務端驗證和保存該從屬設備應用及帳戶配置消息，並根據該應用帳戶配置消息內容管理從屬設備訪問相應的應用及帳戶的權限。實施中，如第一設備是一部智慧型手機，第二設備是另外一部智慧型手機，所述第一設備可以一次配置多個應用，帳戶給第二設備；配置選項完成，配置操作可以是增加或刪除，選項可以是設備，應用或者帳戶三者中的任意組合。

步驟201所述第一設備產生所述從屬設備應用及帳戶配置消息發送給所述安全服務端；所述從屬設備應用及帳戶配置消息包括消息體和消息憑證，所述消息體包括配置的應用及帳戶信息，所述第二識別id和所述第一識別id；所述消息憑證是使用第一密鑰對所述消息體計算產生的籤名或憑證。

實施中，所述從屬設備應用及帳戶配置消息至少包括從屬設備應用及帳戶配置消息體和消息憑證；所述從屬設備應用及帳戶配置消息體至少包括配置的應用及帳戶信息，第二識別id，所述第一識別id；所述配置的應用及帳戶信息包括授權的應用及帳戶信息，操作類型；所述消息憑證是使用第一密鑰對所述從屬設備應用及帳戶配置消息體計算的籤名或者消息認證碼；所述操作類型，包括可以是以下任一操作選項，包括增加或者刪除設備；增加設備應用及帳戶的授權；刪除設備與應用及帳戶授權關係；查看設備；查看設備與應用及帳戶關係等。

步驟202所述安全服務端收到所述從屬設備應用及帳戶配置消息驗證後，產生所述從屬設備應用及帳戶配置發布消息；所述從屬設備應用及帳戶配置發布消息包括消息體和消息體籤名，所述消息體包括配置的應用及帳戶信息，第二識別id，第一識別id；所述消息憑證包括使用所述安全服務端私鑰為該消息體籤名或認證計算的籤名或者憑證結果；

所述安全服務端收到所述從屬設備應用及帳戶配置消息後，使用第一識別id查找第一密鑰對應的第二密鑰，使用第二密鑰驗證所述從屬設備應用及帳戶配置消息憑證，如果驗證通過，檢查第二識別id對應的第二設備是否為第一設備的從屬設備；如果是從屬設備，檢查第一設備是否具有配置消息中包括的應用及帳戶的根設備權限；如果消息中包括的配置的應用及帳戶是第一設備的根設備權限，所述安全服務端執行操作類型包括的配置，將消息中要求的第二設備，應用及帳戶的授權為從屬設備添加，刪除，查看；所述安全服務端產生所述從屬設備應用及帳戶配置發布消息。

所述從屬設備應用及帳戶配置消息用於操作類型是刪除設備時，所述安全服務端驗證之後，將第二識別id對應的用戶終端從第一識別id的從屬設備列表中刪除，同時將由第一設備將配置到該第二設備的應用及帳戶授權一併從第二設備的授權關係中刪除。

所述安全服務端將所述從屬設備應用及帳戶配置發布消息發送給第二設備。

步驟203所述安全服務端將所述從屬設備應用及帳戶配置發布消息發送給第二設備；所述從屬設備應用及帳戶配置發布消息包括配置應用及帳戶信息，第二識別id，第一識別id組成的消息體和使用所述安全服務端私鑰計算消息體得到的籤名；

第二設備使用所述安全服務端公鑰驗證籤名，驗證通過後；驗證第二設備是第一設備的從屬設備；驗證通過後將所述配置應用及帳戶信息增加到或者刪除出所述第二設備的訪問列表中；如果配置中要求刪除第一設備和第二設備之間從屬設備關係，則刪除從屬關係和相關應用及帳戶授權。

步驟204所述安全服務端發送從屬設備應用及帳戶配置確認消息給所述第一設備，用於證實安全服務端完成第一設備發送的從屬設備應用及帳戶配置消息中的配置操作。

實施用例3：

如圖3所示是為本發明實施例中用戶終端功能示意圖；31是第一設備，用戶終端設備由硬體和作業系統組成，32是所述安全可信客戶端，是為設備提供多設備，多應用，多帳戶管理的功能用戶終端；33是多設備，多應用及帳戶管理ui圖示；單個從屬設備即第二設備可以對應多個應用及帳戶；第一設備可以管理多個從屬設備；第一設備可以配置對其歸屬的應用及帳戶，從屬設備之間的關係；當為從屬設備增加或者刪除一個應用及帳戶時，在對應第二設備的安全可信設備用戶終端上就會增加或者上出對應的配置的應用及帳戶；從而做到了簡單，安全的應用及帳戶與設備之間的關係；那些沒有相關設備，應用與帳戶對應關係的設備就不能發起對應應用於帳戶的訪問，從而實現了安全性提高。

如圖4、5所示，分別示出了如上安全服務端和管理訪問權限的設備的構成示意圖，其各組成部件用於完成上述的訪問權限管理的過程。

如圖4所示，所示安全服務端包括通信模塊、處理模塊和存儲模塊，所述通信模塊接收所述第一設備對第二設備請求註冊為第一設備的從屬設備的註冊消息進行確認後向安全服務端發送的從屬設備註冊前向消息；所述處理模塊對該註冊前向消息進行驗證，驗證通過後所述處理模塊將第二設備設置為第一設備的從屬設備，並將該設置信息存儲在存儲模塊中。

當第二設備訪問應用及帳戶時，處理模塊對該第二設備的訪問權限進行驗證，如果該第二設備具備訪問所述應用及帳戶的權限，則處理模塊允許該第二設備對所述應用及帳戶進行訪問，如果該第二設備不具備該權限，則拒絕該第二設備對所述應用及帳戶的訪問。

所述第一設備具有第一密鑰，安全服務端的存儲模塊具有與第一密鑰對應的第二密鑰，所述第一設備和安全服務端的存儲模塊都具有用於匹配第一密鑰和第二密鑰的第一識別id；所述第二設備具有第三密鑰，所述安全服務端的存儲模塊具有對應於第三密鑰的第四密鑰，所述第二設備和安全服務端的存儲模塊都具有用於匹配第三密鑰和第四密鑰的第二識別id。

所述從屬設備註冊消息包括消息體和消息憑證，所述消息體包括第二識別id和同步提示信息，所述消息憑證是使用第三密鑰為所述消息體計算得出的憑證；

所述第一設備對所述同步提示信息確認後，產生從屬設備註冊前向消息並發送給所述安全服務端的通信模塊，所述從屬設備註冊前向消息包括消息體和第一密鑰為該消息體計算的憑證，所述消息體包括第一識別id和所述從屬設備註冊消息；

所述通信模塊接收到所述從屬設備註冊前向消息後，處理模塊使用第一識別id找到第二密鑰，使用第二密鑰驗證所述從屬設備註冊前向消息的憑證，如果通過，使用所述從屬設備註冊消息中的第二設備識別id查找第四密鑰，使用第四密鑰計算所述從屬設備註冊消息的憑證，如果驗證通過，則所述處理模塊將第二設備設置為第一設備的從屬設備，並將該設置信息保存在存儲模塊中。

所述處理模塊將第二設備設置為第一設備的從屬設備後還產生從屬設備註冊確認消息，所述從屬設備註冊確認消息至少包括第二識別id和安全服務端使用私鑰為消息產生的籤名；所述處理模塊將所述從屬設備註冊確認消息通過通信模塊發送給第一設備。

所述第一設備還用於為其從屬設備配置訪問應用及帳戶權限，並將從屬設備應用及帳戶配置消息發送給安全服務端的通信模塊；所述存儲模塊保存該從屬設備應用及帳戶配置消息，所述處理模塊根據該應用帳戶配置消息內容管理從屬設備訪問相應的應用及帳戶的權限。

所述從屬設備應用帳戶配置消息包括消息體和消息憑證，所述消息體包括配置的應用及帳戶信息，所述第二識別id和所述第一識別id；所述消息憑證是使用第一密鑰對所述消息體計算產生的。

所述安全服務端的通信模塊收到所述從屬設備應用帳戶配置消息後，處理模塊使用第一識別id查找第二密鑰，使用第二密鑰驗證所述從屬設備應用帳戶配置消息憑證，如果驗證通過，檢查第二識別id對應的第二設備是否為第一設備的從屬設備；如果是從屬設備，檢查第一設備是否具有配置消息中包括的應用及帳戶的根設備權限；如果消息中包括的配置的應用及帳戶是第一設備所管理的項目，所述處理模塊執行配置操作，將消息中要求的應用及帳戶為從屬設備添加或者刪除，並將相關配置信息保存在存儲模塊中；所述處理模塊產生所述從屬設備應用及帳戶配置發布消息；當配置操作是刪除從屬設備時，處理模塊刪除從屬設備由第一設備配置的應用及帳戶，然後刪除第二設備與第一設備的從屬設備關係。

所述安全服務端的通信模塊將所述從屬設備應用及帳戶配置發布消息發送給第二設備；所述從屬設備應用及帳戶配置發布消息包括消息體和使用所述安全服務端私鑰計算的消息籤名，所述消息體包括配置應用帳戶信息，第二識別id和第一識別id。

處理模塊對該第二設備的訪問權限進行驗證的方式為：處理模塊查詢存儲模塊是否保存有所述應用或帳戶與第二設備之間的對應關係，如果有，則允許該第二設備設備對所述應用或帳戶的訪問，否則拒絕該第二設備對所述應用或帳戶的訪問。

如圖5所示，所述管理訪問權限的設備包括通信模塊、處理模塊和存儲模塊，所述通信模塊接收第二設備發出的請求註冊為所述設備的從屬設備的註冊消息，所述處理模塊用於對該從屬設備註冊消息進行確認，確認後通過所述通信模塊向安全服務端發送從屬設備註冊前向消息；所述通信模塊接收所述安全服務端將第二設備設置為第一設備的從屬設備後產生的從屬設備註冊確認消息，所述從屬設備註冊確認消息至少包括第二識別id和安全服務端使用私鑰為消息產生的籤名；所述存儲模塊用於保存所述從屬設備註冊確認消息。

所述存儲模塊保存有第一密鑰，安全服務端具有與第一密鑰對應的第二密鑰，所述第一設備的存儲模塊和安全服務端都具有用於匹配第一密鑰和第二密鑰的第一識別id。

所述從屬設備註冊消息包括消息體和消息憑證，所述消息體包括第二識別id和同步提示信息，所述消息憑證是使用第三密鑰為所述消息體計算得出的憑證；

所述處理模塊對所述同步提示信息確認後，產生從屬設備註冊前向消息並通過通信模塊發送給所述安全服務端，所述從屬設備註冊前向消息包括消息體和第一密鑰為該消息體計算的憑證，所述消息體包括第一識別id和所述從屬設備註冊消息；

所述安全服務端接收到所述從屬設備註冊前向消息後，對該註冊前向消息進行驗證，驗證通過後所述安全服務端將第二設備設置為第一設備的從屬設備並產生從屬設備註冊確認消息，所述從屬設備註冊確認消息至少包括第二識別id和安全服務端使用私鑰為消息產生的籤名；所述安全服務端將所述從屬設備註冊確認消息發送給第一設備；

所述通信模塊接收該從屬設備註冊確認消息，所述處理模塊將該消息保存在存儲模塊中。

所述通信模塊接收到所述從屬設備註冊確認消息後，處理模塊使用安全服務端公鑰驗證消息籤名；驗證通過後，所述處理模塊將第二識別id加入存儲模塊的從屬設備名單中。

所述處理模塊還用於為其從屬設備配置訪問應用及帳戶權限，並將從屬設備應用及帳戶配置消息通過通信模塊發送給安全服務端。

所述從屬設備應用帳戶配置消息包括消息體和消息憑證，所述消息體包括配置的應用及帳戶信息，所述第二識別id和所述第一識別id；所述消息憑證是使用第一密鑰對所述消息體計算產生的。